サイバー攻撃の「分業化（RaaS / IAB）」エコシステムと標的型インシデント
背景と概要
サイバー空間における脅威は、かつての「単独のハッカーによる誇示目的の侵入」から、「洗練された地下経済システムに基づく高度な組織犯罪」へと完全に変化しました。現在、サイバー攻撃の主流となっているランサムウェア被害の背景には、高度に分業化されたビジネスモデル「RaaS（Ransomware as a Service）」と、その前段階を担う「IAB（Initial Access Broker）」の存在があります。
この闇のエコシステム（分業体制）が確立されたことにより、高度な技術を持たない犯罪組織でも多額の資金さえ用意すれば、大規模企業の内部ネットワークへ容易に侵入し、破滅的な被害をもたらすことが可能となっています。
サイバー犯罪エコシステムの構造と役割分担
サイバー攻撃のサプライチェーンは、主に以下の3つの役割に分業されています。
- RaaSオペレーター（プラットフォーム開発者）
ランサムウェアのコード開発、暗号化鍵の管理サーバー運用、身代金交渉用サイト（ダークウェブ）の構築、データのリークサイト運用などを一手に行う「プラットフォーマー」です。彼らは攻撃の実行者から売上の20〜30%程度を手数料として徴収します。
- アフィリエイト（攻撃実行者）
RaaSオペレーターからツールを借り受け、実際に標的企業へ侵入してデータを暗号化・窃取する実行部隊です。自ら高度なマルウェアを開発する必要がなく、攻撃に専念します。
- IAB（Initial Access Broker：初期侵入ブローカー）
アフィリエイトに対して「侵入済みの企業ネットワークへのアクセス権」を専門に売り渡すブローカーです。未修正のVPN機器の脆弱性、フィッシングで盗んだ認証情報、感染端末から回収した資格情報をオークション形式で販売します。
分業化がもたらす企業への脅威と潜伏リスク
このエコシステムの最大のリスクは、「侵入」と「破壊」のタイミングが大きくズレる点にあります。
IABは企業内に侵入した際、あえて派手な破壊行為を行わず、ドメイン管理者権限の取得やバックドアの設置だけを行い、アクセス権を闇市場に出品します。このため、IABが侵入してから、それを買い取ったアフィリエイトがランサムウェアを起動するまでに「数ヶ月から半年のタイムラグ」が生じることが一般的です。
この潜伏期間中に、攻撃者はバックアップの破棄、機密データの大量事前ダウンロード、セキュリティソフトの無効化などを入念に準備するため、発覚時には打つ手がなくなっている事例が多く見られます。
エコシステムに対抗する段階的な防衛策
「入口（IAB）」を潰す対策と、「内部潜伏」を早期検知する多層防御が必要です。
- アタックサーフェス管理（ASM）による「入口」の封鎖
IABが狙う最大の経路は、インターネット上に露出したVPN機器やRDP（リモートデスクトップ）の未修正脆弱性です。自社およびグループ企業の公開資産を自動スキャンし、パッチを迅速に適用する体制（ASM）を整えます。
- アイデンティティ保護と暗号化（MFAの全面適用）
盗まれたID・パスワードだけでは侵入を完結させないため、すべての外部アクセス（VPN、クラウド、SaaS）において多要素認証（MFA）を例外なく必須化します。
- 横移動（ラテラルムーブメント）の監視とEDRの活用
IABやアフィリエイトが社内網で正規コマンド（PowerShellやPsExec等）を使って権限昇格を試みる挙動を、EDR（Endpoint Detection and Response）やXDRでリアルタイムに検知・隔離する運用を構築します。